VPN istifadəçisinə bütün LAN deyil, bir printer lazımdır

Qayda düzgün görünür, printer isə yenə imtina edir. Ya da printer işləyir və eyni istifadəçi fayl serverinə də çıxır, bu daha pisdir. Hər iki nəticə adətən eyni yerdən gəlir: dar qayda artıq daha geniş bir şeyə icazə verən qayda dəstinə əlavə edilib. Qüvvədə olan sıranı oxumaq, yeni qayda yazılmazdan əvvəl nəticəni izah edir.

Əlamət: dar qayda heç nəyi dəyişmədi

Xüsusi VPN hovuzu, bir printer ünvanı və TCP 631 üzərində keçid qaydası ağlabatan dizayndır. O, heç bir dəyişiklik yaratmırsa, ilk şübhə trafikin o qaydaya ümumiyyətlə çatmaması olmalıdır. Qayda yalnız qiymətləndirmə sırasında öz mövqeyinə çatan trafik üçün qərar verir. Sahələri yoxlamaq asandır və nadir hallarda uğursuzluğun səbəbi olur.

Əks əlaməti qaçırmaq daha asandır. Çap işi uğurla bitir və eyni istifadəçinin heç vaxt çatmamalı olduğu fayl paylaşımına bağlantı da uğurlu olur. Bu, daha əvvəl nəyinsə artıq LAN-a icazə verdiyini bildirir.

Hər iki əlamət yeni qaydanın sahələrinə deyil, sıralamaya işarə edir. Onlardan biri heç vaxt uyğunlaşmayan qaydadır, digəri isə çox erkən uyğunlaşan qaydadır.

Trafik əslində hansı qayda dəstinə düşür

pfSense qaydaları hər interfeys üzrə qiymətləndirir və OpenVPN-in hər server və müştəri nüsxəsinə tətbiq olunan öz vərəqi var. Həmin qaydalar konkret OpenVPN interfeysinə təyin edilmiş qaydalardan əvvəl işlənir. Buna görə OpenVPN vərəqində qalan geniş keçid interfeys vərəqi nə deyirsə də, bu istifadəçiyə də tətbiq olunur. Bu sıranı dəyişiklik qeydinə köçürün ki, yoxlama GUI açmadan onu yoxlaya bilsin.

Buna görə yeni dar keçid girişi ələ keçirə bilməz. Firewall qaydaları icazə əlavə edir və onu əvvəlki uyğunlaşmadan almır.

Qüvvədə olan siyahını yuxarıdan oxuyun və trafikə uyğun gələn ilk qaydada dayanın. Həmin ilk uyğunlaşma qərardır və onun altındakı hər şey o axın üçün əlçatmazdır.

Keçid qaydasını çap işindən yazın

Printerdən deyil, işdən başlayın. İstifadəçiyə printer ünvanındakı çap xidməti lazımdır, ona görə qayda həmin ünvanı, həmin protokolu və həmin portu adlandırır. VPN hovuzu üçün alias və printer üçün alias qaydayı oxunaqlı saxlayır.

Sehrbazı sevindirmək üçün kəşfiyyat və ya idarəetmə portları əlavə etməyə müqavimət göstərin. Bütün printerə icazə verən qayda çap növbəsinə icazə verən qaydadan fərqli siyasətdir.

Printerin öz autentifikasiyasını yerində saxlayın. Şəbəkə icazəsi onu əvəz etmir. Növbə səviyyəsində hesab kimin nəyi çap edə biləcəyi üçün düzgün nəzarətdir.

Bütün niyyəti altı dəyər daşıyır: hərəkət kimi keçid, ailə kimi IPv4, protokol kimi TCP, mənbə kimi hovuz aliası, təyinat kimi printer aliası və port kimi 631. Bu altıdan kənar hər şey tələb olunandan fərqli siyasətdir.

Müştəriyə LAN icazəsi olmadan yol verin

Müştəriyə printer ünvanına marşrut, ofis tərəfinə isə VPN hovuzuna cavab yolu lazımdır. Tək bir /32 göndərmək müştəri konfiqurasiyasını dar saxlayır və bu, nasazlıqların aradan qaldırılmasına kömək edir. Bu, avtorizasiya sərhədi deyil, çünki müştəri özü marşrut əlavə edə bilər.

Növbə adla ünvanlanırsa, həlledici asılılığını ayrıca təyin edin. Bir adın həll olunması üçün bütün LAN-a icazə vermək işin tələb etdiyindən qat-qat böyük dəyişiklikdir.

Hovuza geri marşrutlaşdırma ilə mənbənin çevrilməsi arasında şüurlu seçim edin. İkisi də işləyir və hər biri jurnallardan fərqli bir şeyi gizlədir.

İşi də, imtinanı da sınaqdan keçirin

VPN istifadəçisindən kiçik, həssas olmayan bir iş göndərin, sonra imtina edilməli olan LAN resursunu və firewallun öz idarəetmə səhifəsini yoxlayın. Üç test də eyni sessiyaya aid olmalıdır, çünki siyasəti bütövlükdə görməyin yeganə yolu budur. Tək uğurlu çap işi sərhəd haqqında demək olar ki, heç nə sübut etmir.

Yerləşdirməni yalnız printer adlandırmazdan əvvəl IPv6-nı və hər hansı digər aktiv VPN yolunu nəzərdən keçirin. Bir ünvan ailəsində dar olan qayda dəsti digərində tamamilə açıq ola bilər.